令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問4

偽物の手紙を紛れ込ませる攻撃を防ぐために、送り先の「部屋番号」をバラバラにする

DNSサーバーに偽の情報を覚え込ませる「カミンスキー攻撃（キャッシュ毒入れ）」への対策問題。問い合わせを送る際の「ポート番号（通信の窓口番号）」や「トランザクションID」をランダムにバラバラにすることで、犯人が偽物の返信を送りつける難易度を劇的に上げる方法が有効だよ。

この問題で問われていること

「ポート番号のランダム化（ソースポートランダム化）」や「IDの乱数化」が、DNSの偽応答を防ぐための最も効果的な手段であることを覚えよう。

Kaminsky 攻撃対策

推測すべき値を増やし、偽応答の先回り成功率を下げる。

送信元ポート乱数化\n-> 偽応答成功率低下

確認ポイント

• SPF はメール送信元認証です。
• SQL プレースホルダとは無関係です。
• 送信元ポート番号ランダム化を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。サーバを増やすのは故障や混雑への備えにはなるけど、偽のDNS情報を信じ込ませる攻撃の対策ではないよ。しかもキャッシュDNSサーバと権威DNSサーバは役割が違うので、鍵屋さんと郵便局を1つずつ置いて『冗長化』と言うようなもので、同じ仕事の代役にはならないんだ。

選択肢イ

これは不正解だよ。SPFはメールについて『このドメインのメールを送ってよいサーバかな？』を確認する仕組みで、DNSリソースレコードそのものを本物だと証明する仕組みではないよ。身分証で配達員を確認する話であって、掲示板に貼られた情報が改ざんされていないかを確認する話ではないんだ。

選択肢ウ

これは不正解だよ。プレースホルダは、SQLインジェクション対策としては有効だけど、DNSの偽応答をキャッシュさせる攻撃とは別の話。たとえるなら、申込書の記入欄を安全にしても、別の窓口に偽の伝言が届く問題は防げない、という感じだよ。

選択肢エ（正解）

これは正解だよ。DNSキャッシュポイズニングは、偽物の返事を本物っぽく送り込む攻撃。送信元ポート番号を毎回ランダムにすると、窓口番号まで毎回変わるようなもので、攻撃者が当てる情報が増えるから、偽のDNS情報をキャッシュさせにくくなるよ。